Deux failles critiques de PHP (CVE-2026-109618/109619) menacent les sites non corrigés. Trouvez votre version de PHP, vérifiez votre hébergeur, corrigez — la vérification de 15 minutes.
Le 21 octobre 2026, le Centre canadien pour la cybersécurité a publié l'alerte AL26-026 au sujet de deux failles critiques de PHP — le langage de programmation derrière la plupart du Web, y compris la plupart des sites WordPress, des portails clients et des sites Web de petites entreprises. Les failles, répertoriées sous CVE-2026-109618 et CVE-2026-109619 et surnommées « PHP2Shell », sont cotées 9,2 sur 10 pour leur gravité. Un attaquant qui peut joindre un serveur PHP exposé sur Internet et non corrigé n'a pas besoin de se connecter pour exécuter du code sur ce serveur.
C'est ce dernier point qui rend cette semaine différente d'un simple avis de correctif. Une preuve de concept d'exploitation est publique, la divulgation a fuité un jour plus tôt, si bien que les attaquants et les défenseurs ont appris l'existence des failles en même temps, et Cloudflare a signalé des millions de tentatives d'exploitation après que les faiblesses sont devenues publiques. Des gouvernements ont mis des sites Web hors ligne par précaution — aux Pays-Bas, en Finlande et en France, et plus près de chez nous, une commission scolaire du Québec a interrompu le service sur plusieurs de ses sites pendant que les techniciens s'occupaient du problème.
Si le site Web de votre entreprise fonctionne avec PHP — et s'il s'agit de WordPress, c'est presque certainement le cas —, c'est une semaine pour corriger immédiatement, pas un jour. La vérification ci-dessous prend environ quinze minutes.
En 30 secondes
Les deux failles sont décrites comme des failles critiques de type « Use After Free » dans PHP. En termes simples: une faille dans la façon dont PHP gère la mémoire permet à un attaquant distant, sans aucune connexion, d'exécuter du code arbitraire sur le serveur. C'est la pire combinaison qu'une faille de site Web puisse présenter — aucun identifiant requis, un contrôle total comme prix.
PHP soutient la majorité du Web. WordPress, la plateforme de création de sites Web la plus utilisée au monde, fonctionne avec lui, tout comme une énorme part des portails clients, des outils de réservation et des logiciels de gestion de cabinet dont les petites entreprises dépendent chaque jour. Une faille à ce niveau ne se soucie pas de la qualité de vos mots de passe.
Le projet PHP a publié des correctifs le 21 octobre 2026. Trouvez la branche qu'utilise votre site et comparez:
Branche | Mettre à jour au moins vers |
|---|---|
PHP 8.5 | 8.5.12 |
PHP 8.4 | 8.4.27 |
PHP 8.3 | 8.3.36 |
PHP 8.2 | 8.2.35 |
Si votre site fonctionne avec PHP 8.1 ou une version antérieure, aucune mise à jour ordinaire ne vous attend: ces branches ne reçoivent plus de mises à jour du projet PHP. Certains fournisseurs d'hébergement et distributeurs de soutien à long terme fournissent leurs propres correctifs pour les branches plus anciennes; confirmez donc votre entente de soutien avec votre hébergeur plutôt que de présumer qu'une mise à jour arrivera.
La plupart des histoires de vulnérabilités avancent à la vitesse des services TI. Celle-ci a avancé à la vitesse d'Internet. Des détails ont fuité en ligne un jour avant la divulgation prévue, les correctifs ont été publiés en urgence le matin du 21 octobre, et les attaquants ont commencé à cibler les failles quelques heures après qu'elles sont devenues publiques.
Le Centre canadien a déclaré qu'il n'avait pas relevé d'exploitation active au moment de son alerte — et a ajouté que cela « peut changer rapidement ». Cette phrase résume toute la semaine: la fenêtre entre la divulgation et l'exploitation de masse se mesure maintenant en heures, pas en semaines.
Notez aussi ce que l'alerte n'a pas dit. Elle n'a pas recommandé de mettre les systèmes hors ligne en général. Les fermetures gouvernementales sont allées plus loin que les conseils publiés de l'agence — une précaution prise par des organisations qui ont décidé qu'elles ne pouvaient pas corriger assez vite, pas une instruction pour tous les autres.
Suivez ces cinq étapes, dans l'ordre. Le visuel dans l'article ci-dessous reprend la même séquence — gardez-le à côté de vous pendant la vérification.
Les attaquants et les défenseurs ont appris l'existence de ces failles en même temps. La seule avance qui reste, c'est de corriger en premier.
Quand Amen Security examine un site Web après une alerte comme celle-ci, le passage est délibérément ennuyeux: la version de PHP sur chaque environnement (production, préproduction et le sous-domaine oublié), les produits tiers et les conteneurs qui intègrent leurs propres installations de PHP, l'examen des journaux, et un test des fonctions importantes du site après le correctif — parce qu'un correctif qui brise la caisse ou la réservation est un correctif qu'on annule. Cette étape de vérification fait partie du travail, pas une réflexion après coup.
C'est par ce regard en lecture seule que s'ouvre notre évaluation gratuite: l'inventaire des versions et l'exposition, par écrit, avant que quoi que ce soit change.
Mon site WordPress est-il touché?
S'il fonctionne avec PHP sous les versions corrigées ci-dessus, oui — WordPress fonctionne avec PHP, donc la faille se situe sous l'ensemble du site, quel que soient le thème et les extensions que vous utilisez.
La mise à jour de WordPress corrige-t-elle le problème?
Non. La mise à jour du système de gestion de contenu ou l'installation d'une extension de sécurité ne met pas à jour l'environnement d'exécution PHP sous-jacent. Les deux couches ont besoin de leur propre mise à jour.
Mon hébergeur dit que tout va bien. Est-ce suffisant?
Demandez le numéro de version de l'environnement par écrit. « Tout va bien » sans version n'est pas une réponse à cette alerte.
Nous sommes sur PHP 8.1. Et maintenant?
Parlez à votre hébergeur de son entente de soutien à long terme, ou planifiez la mise à niveau vers une branche prise en charge. Aucun correctif du projet PHP n'arrive pour 8.1.
Comment savoir si nous avons déjà été touchés?
Examinez les journaux pour y déceler une activité suspecte autour et après le 21 octobre, et conservez les enregistrements avant de changer quoi que ce soit. Un événement suspect correspondant est une raison d'enquêter, pas une preuve en soi — apportez-le à quelqu'un qui sait le lire correctement.
Lectures connexes:
Les équipes qui s'en sont le mieux sorties cette semaine ont fait trois choses, dans cet ordre: elles ont trouvé leur version, elles ont fait corriger l'environnement (ou isolé le site en attendant), et elles ont vérifié que le site fonctionnait encore ensuite. C'est tout le plan d'action, et il tient sur une fiche.
Si votre hébergeur ne peut pas vous dire votre version de PHP, ou ne peut pas dire si l'environnement est corrigé, cette non-réponse est en soi la réponse — elle vous dit où en est réellement la sécurité de votre site Web. Corrigez cette lacune cette semaine, pendant que l'histoire est encore assez fraîche pour que chaque hébergeur y prête attention.
Même semaine, autre environnement d'exécution, même leçon: Node2Shell, la faille Brotli dans Node, Python et tout ce qui l'intègre — la couche sous votre code a besoin de son propre correctif, et celle-ci se cache dans le décodeur Brotli intégré à Node, Python et aux proxys intermédiaires.
Sources et révision
Votre commentaire sera publié après examen par notre équipe.
Continuer la lecture
L'identifiant volé d'une application de sauvegarde a donné accès à des locataires Microsoft 365 en octobre 2026. Cette liste de contrôle pour PME canadiennes vérifie l'accès des applications, les autorisations et les restaurations.
Licences inutilisées, comptes d'anciens employés et paramètres de sécurité Microsoft 365 jamais activés au complet: ce qu'un nettoyage corrige concrètement pour les PME canadiennes.
Les coûts de la cybersécurité au Canada, poste par poste, pour une entreprise de 30 à 80 employés: licences, surveillance, évaluations et préparation à l'assurance, avec des fourchettes publiées en 2026.
